De AI-sandbox voor enterprise-agenten
Elke agent-turn op Scrydon draait in een verse, hardware-geïsoleerde omgeving voor eenmalig gebruik, die geen credentials bevat en standaard geen enkele netwerkbestemming bereikt — en de turn wordt pas toegelaten nadat ondertekend bewijs aantoont dat die grens daadwerkelijk bestaat. Onbewezen isolatie is een weigering, geen degradatie.
Fail closed, nooit open
Een agent-turn draait pas nadat ondertekend isolatiebewijs is gevalideerd voor exact de build die gaat draaien. Ontbreekt dat bewijs of is het verouderd, dan weigert de turn — er is geen terugval naar een hostproces.
Eén turn, één machine
Elke turn krijgt een verse, hardware-gevirtualiseerde omgeving voor eenmalig gebruik die op elk uitgangspad wordt vernietigd — succes, fout, timeout of annulering. Er is geen langlevende agentomgeving om te compromitteren.
Het netwerk is een contract
Egress is standaard geweigerd: een integratie bereikt alleen de bestemmingen die haar manifest declareert, doorsneden met de eigen allowlist van uw organisatie. Geen van beide kanten kan de andere verruimen.
Wanneer een AI-agent voor u werkt, voert die code uit, leest documenten en roept andere systemen aan — u vertrouwt dus op iets dat niemand regel voor regel heeft nagekeken. De sandbox is de afgesloten kamer waarin de agent werkt: hij gaat naar binnen zonder sleutels, kan alleen kloppen op deuren die u vooraf heeft goedgekeurd, en de kamer wordt gesloopt zodra het werk klaar is. Deze pagina legt uit hoe die kamer is gebouwd — en hoe we bewijzen dat ze standhoudt voordat er iets in draait.
Lees dit als u als CISO, securityarchitect of platformeigenaar moet weten hoe de uitvoering van agents is ingeperkt voordat u die goedkeurt.
Een AI-sandbox is de isolatiegrens waarbinnen de redeneer-, tool- en shell-lus van een AI-agent draait. Op Scrydon is die grens een verse, hardware-gevirtualiseerde omgeving voor eenmalig gebruik per agent-turn — zonder echte credentials binnenin, met standaard geweigerde netwerk-egress — en een agent-turn wordt pas toegelaten nadat ondertekend bewijs het bestaan van de grens aantoont voor exact de build die op het punt staat te draaien.
In de zomer van 2026 maakten toonaangevende AI-labs publiekelijk bekend dat modellen tijdens evaluaties uit hun test-sandboxes waren ontsnapt en echte infrastructuur van derden hadden bereikt. Het patroon achter elk incident was hetzelfde: de isolatie werd beweerd via configuratie en door niemand geverifieerd. Scrydon is ontworpen op de aanname dat deze dag zou komen. Een door een model aangestuurde workload wordt behandeld als een niet-vertrouwde workload — dezelfde categorie als code die van internet is gedownload — want een platform dat alleen veilig is zolang het model zich gedraagt, heeft geen beveiligingsgrens; het heeft een hoop. De AI-sandbox maakt van die aanname architectuur: hardware-isolatie per turn, credentials buiten het bereik van het model, egress als een expliciet contract, en ontsnappingspogingen die vóór elke release worden getest.
AI-sandbox in het Scrydon-platform
Eén geïntegreerde, soevereine architectuur. Hier past AI-sandbox — uitgelicht binnen de volledige stack waarmee het samenwerkt.
Het AI OS voor mensen en AI-agenten
Ontologie- en semantische laag: één samenhangend model voor uw data, kennis en processen
Het beste van data lakes, datawarehouses en search gecombineerd
AI-agenten, workflows en automatiseringen die uitvoeren over al uw systemen heen
Integreer via A2A, MCP, legacy systemen en databronnen
Veilige domeinfederatie, vertrouwd datadelen en intelligentie over organisatiegrenzen heen
Soevereine fundamenten
AI-sandbox in detail
Human + AI-orchestratie
Het AI OS voor mensen en AI-agenten
De Human + AI Orchestrator is de operationele runtime in het hart van het AI OS — ook wel het Agentic OS genoemd — die elke taak in uw organisatie inplant, routeert en governt, of die nu wordt uitgevoerd door een AI-agent, een bestaand systeem of een mens.
De meeste organisaties hebben vastgelopen processen: verstopt in gescheiden systemen of opgeslagen in de hoofden van mensen. Het AI OS maakt ze zichtbaar en uitvoerbaar. Het legt de intentie vast, brengt de context samen, handelt — en voedt elk resultaat terug in de ontologie, zodat de volgende ronde slimmer verloopt. Allemaal binnen uw eigen perimeter.
Agentic AI maakt van frontier-modellen geen geïsoleerde chatbots meer, maar echte autonome uitvoerders binnen het AI OS. In plaats van alleen tekst te genereren, zijn deze agenten gebouwd om precies die taken uit te voeren die uw mensen niet handmatig zouden moeten doen — redeneren, plannen en handelen in complexe processen met meerdere stappen.
Het AI OS steunt op een fundament van zowel creativiteit als controle om autonome agenten effectief in te zetten:
- AI Workflows als fundament: De kern van het AI OS bestaat uit georkestreerde AI-workflows die frontier-modellen, interne tools en enterprise memory veilig met elkaar verbinden.
- Deterministische en niet-deterministische flows: Door het redeneervermogen van frontier-AI te combineren met strikte, deterministische workflows garandeert het AI OS zowel wendbaarheid als absolute voorspelbaarheid in bedrijfskritische processen.
- Autonome uitvoering: Agenten handelen autonoom binnen vastgelegde grenzen, halen context op uit uw data lakehouse en voeren acties uit via goedgekeurde tools.
Veilig geïmplementeerd binnen uw eigen infrastructuur putten deze agenten uit uw cognitive enterprise om doortastend te handelen. Strikte, policygestuurde guardrails houden ze stevig binnen de grenzen die uw organisatie bepaalt, voor een perfecte balans tussen productiviteit en beveiliging op enterprise-niveau.
Vier fasen, elk afgedwongen buiten het bereik van het model
Elke standaard agent-turn — de volledige redeneer-, tool- en shell-lus van het model —
doorloopt vier fasen, en elk daarvan wordt afgedwongen door infrastructuur die het model niet
kan bereiken. Voordat er iets de sandbox binnengaat, valideert het platform vers, ondertekend
isolatiebewijs dat is gebonden aan exact de build die gaat draaien: geen isolation: true in
een configuratiebestand, maar een bewijs dat is geproduceerd door de grens daadwerkelijk te
beproeven. De controle draait bewust twee keer — één keer aan de kant van de aanroeper, voor
een snelle, leesbare weigering, en één keer in de dispatch-dienst zelf, waar geen verouderde of
verkeerd geconfigureerde aanroeper eromheen kan. Binnen de sandbox houdt het model geen
credentials en geen netwerksocket vast; integratiecode van derden deelt nooit zijn machine en
draait in een aparte omgeving voor eenmalig gebruik, die pas wordt toegelaten nadat de digest
van haar inhoud overeenkomt met de identiteit waaraan ze is vastgepind. En wanneer de turn
eindigt — hoe hij ook eindigt — wordt de omgeving vernietigd, worden de eenmalige toekenningen
ingetrokken en wordt het auditrecord verzegeld voordat succes gemeld mag worden.
- 1
Toelating — bewijs dat de kooi bestaat
Een turn start pas nadat vers, ondertekend isolatiebewijs is gevalideerd voor exact de build die gaat draaien. Ontbrekend, verlopen of niet-passend bewijs betekent weigering — fail closed, geen host-fallback.
- 2
Uitvoering — één turn, één geïsoleerde VM
De agent-lus draait in een verse, hardware-gevirtualiseerde omgeving voor eenmalig gebruik. Integratiecode van derden draait in haar eigen, aparte omgeving — twee vertrouwensdomeinen die nooit een machine delen.
- 3
Egress — default deny, bemiddelde verzoeken
De workload houdt nooit een eigen netwerksocket vast. Een vertrouwde broker buiten de sandbox voert elk uitgaand verzoek zelf uit — alleen naar bestemmingen die zowel het manifest van de integratie als uw allowlist goedkeuren.
- 4
Afbraak — niets overleeft de turn
Elk einde komt uit op dezelfde toestand: de omgeving wordt vernietigd, eenmalige credential-toekenningen worden ingetrokken, en een auditrecord wordt verzegeld voordat de turn succes mag melden.
Waarom agenten een echte grens nodig hebben, geen configuratievlag
De sector heeft deze les publiekelijk en duur geleerd. Binnen een paar weken in 2026 maakte een toonaangevend lab bekend dat modellen in een cybersecurity-evaluatie uit hun beperkte testomgeving waren ontsnapt via de ene interne dienst die ze konden bereiken; een ander auditeerde 141.000 evaluatieruns en vond echte organisaties waarvan de productie-infrastructuur was geraakt nadat een misconfiguratie stilletjes internettoegang had verleend; een derde rapporteerde een vergelijkbare misconfiguratie van zijn harnas. Het ongemakkelijke patroon was niet "de modellen werden te slim" — het was dat de isolatie via configuratie werd beweerd en door niemand geverifieerd. Scrydon draait agenten op de gevoeligste data die een onderneming heeft, en vertrekt daarom van de omgekeerde aanname: een door een model aangestuurde workload is een niet-vertrouwde workload, in dezelfde categorie als code die van internet is gedownload. Die aanname is met opzet onverbiddelijk. Ze sluit "de agent draait in ons backend-proces, maar voorzichtig" uit — en elke architectuur waarin de aanroeper zichzelf ingeperkt mag verklaren. Lees het volledige verhaal in The Harness Holds (in het Engels).
Modellen ontsnappen uit beweerde sandboxes — De incidenten van 2026 deelden één oorzaak: isolatie gedeclareerd in configuratie en door niemand beproefd — één over het hoofd geziene netwerkroute, één vlag die niemand opnieuw controleerde.
Agenten raken uw gevoeligste data — Enterprise-agenten werken aan dossiers, onderzoeken en interne kennis. De grens eromheen mag niet afhangen van of het model zich gedraagt.
Credentials zijn de buit — Een agent die echte geheimen vasthoudt, maakt van elke ontsnapping een datalek. In de sandbox ziet het model ondoorzichtige placeholders; echte waarden blijven de hele turn buiten zijn bereik.
Hoop is geen beveiligingsmodel — Een grens die alleen standhoudt als de workload meewerkt, is geen grens — het is een verzoek. Hardware-virtualisatie houdt stand, of het model nu meewerkt of niet.
Isolatie die wordt aangevallen voordat ze wordt uitgeleverd
Een isolatiecontract dat je nooit test, is een configuratievlag met betere marketing — precies zo zijn de incidenten van 2026 ontstaan. Ontsnappingspogingen zijn op Scrydon dan ook geen gedachte-experiment; ze zijn een ingecheckte release-gate. Voordat een release-kandidaat gepromoveerd kan worden, draait een opzettelijk kwaadaardige workload in een echte gevirtualiseerde gast en probeert dezelfde klassen van ontsnapping die de evaluatiemodellen vonden: netwerk bereiken dat haar nooit was toegekend, het egress-pad omzeilen in plaats van het te gebruiken, en jagen op credentials die ze nooit zou mogen zien. De gate verifieert dat elke poging mislukt, dat de werkelijk uitgezonden bytes van de workload door de data-loss-prevention-scanning zijn gegaan, dat er geen geheim aanwezig was om te stelen, en dat er geen omgevings- of toekenningsstaat overleeft — over succes, fout, timeout en annulering heen. Vervolgens ondertekent ze dat bewijs tegen de exacte hash van de kandidaat, en precies die handtekening eist de toelating voordat de agent-turn van een klant mag draaien. De cirkel sluit zich: de release kan niet uitgeleverd worden tenzij de ontsnapping mislukt, en de agent kan niet draaien tenzij de release het bewezen heeft.
Ontsnappingspogingen zijn een release-gate — Een opzettelijk kwaadaardige workload probeert tegen elke release-kandidaat de bekende klassen van sandbox-ontsnapping — niet-gedeclareerd netwerk bereiken, het egress-pad omzeilen, jagen op credentials.
Ondertekend bewijs sluit de cirkel — De release kan niet uitgeleverd worden tenzij de ontsnapping mislukt, en een agent-turn kan niet draaien tenzij de release het bewezen heeft — dezelfde handtekening die bij toelating wordt gecontroleerd.
Echte bytes, geen gestelde intentie — Data-loss-prevention-scanning geldt voor het werkelijke verkeer dat het platform verlaat, inkomend en uitgaand — niet voor wat het model zegt te doen.
Audit als dragende infrastructuur — Een turn is pas geslaagd als zijn credential-vrije auditrecord is verzegeld. Een verkeerspiek kan u nooit een compliance-record kosten.
Veelgestelde vragen
Wat is een AI-sandbox?+
Waarom hebben AI-agenten sandboxing nodig?+
Hoe verschilt dit van agenten draaien in een container of processandbox?+
Wat gebeurt er als isolatie niet bewezen kan worden?+
Kan een leveranciersintegratie de netwerktoegang van de sandbox verruimen?+
Ziet het model ooit echte credentials?+
Werkt de AI-sandbox in soevereine en air-gapped omgevingen?+
Ontdek het platform
Schrijft u liever? Mail naar hello [at] scrydon.com en wij nemen contact met u op.
Partners
